Estensioni Chrome: 319 dirottano le ricerche degli utenti

Installi un’estensione per convertire PDF o trovare un manuale e ti ritrovi con un motore di ricerca diverso. Può sembrare un semplice cambio di impostazioni, ma dietro potrebbe esserci un sistema che fa passare le tue ricerche attraverso server di terzi.

È quanto documenta Searchjacked, l’indagine di John Tuckner, ricercatore di Socket, che ha individuato 319 estensioni Chrome associate a circa 13,4 milioni di installazioni in quasi dieci anni. Tutte distribuite attraverso il Chrome Web Store ufficiale.

Il risultato finale può essere una normale pagina di Yahoo o Bing. Il problema è il percorso seguito per raggiungerla: gli operatori delle estensioni possono intercettare le query e guadagnare dal traffico generato.

Come funzionano le estensioni che dirottano le ricerche

Questi componenti modificano il motore di ricerca predefinito di Chrome e inviano le query a un proxy, cioè un server intermediario. Da lì, le ricerche vengono inoltrate verso Yahoo o Microsoft Bing con codici che identificano il partner responsabile del traffico.

Il guadagno arriva dai programmi di search syndication, che riconoscono ai partner una quota dei ricavi pubblicitari. I codici compaiono negli indirizzi come parametri hspart e hsimp per Yahoo, oppure PC e PTAG per Bing.

Secondo Socket, il server intermedio potrebbe servire anche a verificare i compensi e raccogliere le ricerche, eventualmente analizzandole per argomento, area geografica o indirizzo IP. La possibile monetizzazione di questi dati resta un’ipotesi; il transito delle query attraverso infrastrutture di terzi solleva comunque un problema di privacy.

La nuova indagine amplia una ricerca dell’aprile 2025: aggiunge 264 estensioni e circa 8,7 milioni di installazioni, portando il totale censito a 319.

La destinazione può cambiare senza aggiornare l’estensione

Il passaggio dal proxy introduce un altro rischio: il server può decidere dove inviare ogni ricerca senza modificare l’estensione installata.

Socket lo ha osservato con Predator Search, associata a circa 50.000 utenti. Nei test, sei ricerche identiche hanno seguito quattro percorsi differenti: direttamente verso Yahoo con i codici partner, verso una pagina intermedia, attraverso altri domini prima di Yahoo oppure verso una pagina di errore di Cloudflare.

Il componente nel browser era sempre lo stesso. A cambiare era la destinazione scelta dal server.

Questo meccanismo potrebbe essere sfruttato per mostrare risultati falsi, pagine di phishing o download dannosi, anche in base alla ricerca o alla posizione dell’utente. Socket precisa però che si tratta di un rischio ipotizzato, non di un comportamento dimostrato per tutte le estensioni censite.

Perché l’assenza di permessi non garantisce sicurezza

Per cambiare il motore di ricerca non serve necessariamente un’estensione complessa.

Può bastare chrome_settings_overrides, una voce del manifest, il file che ne descrive la configurazione.

L’esempio più chiaro è Safe Game Search: il pacchetto analizzato conteneva soltanto il manifest e tre icone, senza permessi aggiuntivi, script di background, codice da inserire nelle pagine o interfaccia.

Chrome avvisa della modifica al motore di ricerca, ma, secondo Socket, non chiarisce adeguatamente dove finiranno le query. Ecco perché un’estensione senza autorizzazioni sensibili non è automaticamente affidabile.

Altri componenti individuati, come quelli del gruppo SecuryBrowse, richiedevano invece anche numerosi permessi sensibili.

Come arrivano agli utenti: annunci e pagine nascoste nello store

Le estensioni vengono presentate come convertitori PDF, strumenti per trovare manuali, assistenti IA, widget meteo e servizi di ricerca sicura. Alcune promettono persino di proteggere il browser.

La maggior parte è unlisted: la pagina sul Chrome Web Store si apre tramite collegamento diretto o identificativo, ma non compare nelle ricerche interne.

A portare gli utenti all’installazione sono campagne pubblicitarie, anche su Google Ads e Bidbrain, con annunci e finestre promozionali su piccoli blog e siti di contenuti. Dopo pochi clic, il componente può restare nel browser a lungo.

La modalità unlisted ha anche impieghi legittimi e non dimostra, da sola, che un’estensione sia pericolosa. Allo stesso modo, essere visibile nelle ricerche dello store non garantisce sicurezza.

I gruppi individuati da Socket

La ricerca riconduce 200 estensioni a operatori identificati, con circa 5,68 milioni di utenti, e altre 119 a operatori non identificati, per circa 7,76 milioni di utenti.

Tra i gruppi principali compare Intango LTD, con 111 estensioni e circa 2,19 milioni di utenti. Dal 2018 ha utilizzato circa 279 domini e contatti distinti, facendo apparire i componenti come prodotti di editori indipendenti. La maggior parte indirizzava le ricerche verso Yahoo, mentre 15 utilizzavano Bing.

Il gruppo SecuryBrowse comprende 58 estensioni e circa 4,9 milioni di utenti, con nomi come Fire Shield, Wise Ghost, Securify, Protecto e WatchTower.

Altre 37 estensioni, associate a circa 2,2 milioni di installazioni, formano un gruppo orientato a Bing e promosso soprattutto tramite Bidbrain. Un indizio del coordinamento: quindici editori apparentemente indipendenti hanno pubblicato aggiornamenti negli stessi quattro giorni di giugno 2026, utilizzando gli stessi codici partner.

Per Tightrope Interactive, Socket riporta 18 estensioni e circa 122.000 utenti, oltre a un’attività pubblicitaria di circa 200.000 annunci Google distribuiti su 307 domini.

Il fenomeno risale almeno al 2016, con Yandex search, che aveva raggiunto circa 200.000 utenti prima della rimozione. Nel 2017 erano arrivate le due estensioni HermesTab, associate complessivamente a circa 400.000 utenti.

Molti componenti erano già stati rimossi alla pubblicazione del rapporto, ma continuano a comparire nuove varianti. I 13,4 milioni rappresentano il totale censito nel tempo, non gli utenti attualmente esposti.

Come controllare e rimuovere le estensioni Chrome sospette

Il primo controllo richiede pochi passaggi: digita chrome://extensions nella barra degli indirizzi per aprire l’elenco dei componenti installati.

1. Rimuovi le estensioni che non riconosci o non usi più. Controlla sviluppatore e funzione, soprattutto se le hai installate dopo un annuncio per PDF, manuali o ricerche “sicure”

2. Verifica il motore di ricerca predefinito nelle impostazioni di Chrome e ripristina quello desiderato dopo la rimozione

3. Esegui una scansione antivirus completa, soprattutto se continuano a comparire reindirizzamenti o comportamenti anomali

Nel report originale Searchjacked di Socket sono disponibili approfondimenti su operatori, campagne ed esempi.

Ad ogni modo, se il motore di ricerca cambia senza che tu lo abbia scelto, oppure noti domini sconosciuti prima dei risultati, controlla le estensioni: una pagina finale apparentemente normale non racconta necessariamente tutto il percorso delle tue ricerche.